如何使用Terraform为Azure资源组配置条件化管理锁

要实现部分资源组设只读锁、部分设删除锁、部分不配置锁的需求，核心是用for_each替代count遍历资源组配置，同时调整变量结构来关联资源组标识、锁启用状态及锁类型。以下是具体实现方案：

1. 调整变量结构（灵活版） #

将原有的布尔对象变量改为映射对象，每个元素包含锁启用状态和可选的自定义锁类型，既支持按环境自动设置锁类型，也支持手动指定特殊组的锁类型：

variable "resource_group_locks" {
  description = "资源组管理锁配置：键为资源组名称，值包含启用状态和锁类型"
  type = map(object({
    enable    = bool
    lock_type = optional(string) # 可选字段，不填则按环境自动分配
  }))
  default = {}
}

variable "env" {
  type        = string
  description = "部署环境，用于自动分配锁类型"
}

在.tfvars中配置各资源组的锁规则：

resource_group_locks = {
  deploy_network_rg = {
    enable    = false # 不配置锁
    lock_type = ""
  }
  deploy_liveadls_rg = {
    enable    = true
    lock_type = "ReadOnly" # 手动指定只读锁
  }
  deploy_privatelink_rg = {
    enable    = true
    lock_type = "CanNotDelete" # 手动指定删除锁
  }
  deploy_keyvault_rg = {
    enable    = true
    # 不指定锁类型，将根据env自动判断
  }
}

env = "dev"

2. 单资源块实现锁配置 #

利用for_each遍历所有需要启用锁的资源组，关联对应资源组ID并设置锁类型：

场景1：资源组在当前Terraform配置中创建 #

假设你已经通过azurerm_resource_group资源创建了所有资源组，且资源的键名与resource_group_locks中的键一致：

resource "azurerm_resource_group" "rgs" {
  for_each = keys(var.resource_group_locks)
  name     = each.key
  location = "East Asia" # 替换为你的资源组区域
}

resource "azurerm_management_lock" "rg_locks" {
  # 仅遍历启用锁的资源组配置
  for_each = {
    for rg_name, config in var.resource_group_locks : rg_name => config
    if config.enable
  }

  name      = "${each.key}-lock" # 锁名称，可自定义
  scope     = azurerm_resource_group.rgs[each.key].id # 关联目标资源组ID
  # 优先使用手动指定的锁类型，否则按环境自动分配
  lock_type = each.value.lock_type != "" ? each.value.lock_type : (var.env == "dev" ? "ReadOnly" : "CanNotDelete")
}

场景2：引用现有资源组 #

如果资源组已存在，通过data数据源获取资源组ID：

data "azurerm_resource_group" "rgs" {
  for_each = keys(var.resource_group_locks)
  name     = each.key
}

resource "azurerm_management_lock" "rg_locks" {
  for_each = {
    for rg_name, config in var.resource_group_locks : rg_name => config
    if config.enable
  }

  name      = "${each.key}-lock"
  scope     = data.azurerm_resource_group.rgs[each.key].id
  lock_type = each.value.lock_type != "" ? each.value.lock_type : (var.env == "dev" ? "ReadOnly" : "CanNotDelete")
}

3. 简化版（仅按环境+启用状态） #

如果不需要手动指定锁类型，仅按环境统一分配（dev只读、其他环境删除锁），可简化变量为布尔映射：

variable "resource_group_locks" {
  description = "资源组锁启用配置：键为资源组名称，值为是否启用锁"
  type        = map(bool)
  default     = {}
}

# 可选：如果需要个别组例外，可通过本地变量指定
locals {
  # 特殊资源组的锁类型，覆盖环境默认值
  custom_lock_types = {
    deploy_privatelink_rg = "CanNotDelete"
  }
}

resource "azurerm_management_lock" "rg_locks" {
  for_each = {
    for rg_name, enable in var.resource_group_locks : rg_name => enable
    if enable
  }

  name      = "${each.key}-lock"
  scope     = azurerm_resource_group.rgs[each.key].id
  # 优先使用自定义锁类型，否则按环境分配
  lock_type = lookup(local.custom_lock_types, each.key, var.env == "dev" ? "ReadOnly" : "CanNotDelete")
}

关键改进说明 #

• 替换count为for_each：count仅支持数字遍历，无法关联资源组标识；for_each可直接遍历配置映射，实现资源组与锁规则的一一对应。
• 变量结构优化：用映射对象关联资源组名称、锁启用状态及类型，解决了原代码中布尔变量无法绑定资源组ID的问题。
• 灵活的锁类型逻辑：支持手动指定与环境自动分配结合，满足部分组特殊锁类型的需求。

内容的提问来源于stack exchange，提问作者Akash